Sophos Firewall v22 MR2: functies, fixes en upgradeadvies

Sophos heeft op 14 juli 2026 Sophos Firewall OS 22.0 MR2 Build 546 uitgebracht. Deze Maintenance Release is kleiner dan een Major Release, maar duidelijk meer dan alleen een bugfixpakket. De release biedt controle over Post-Quantum Cryptography, nauwkeurigere herkenning van generatieve AI-applicaties, een nieuwe Chromebook-extensie, een minder verstorende standaardinstelling voor STAS en bijgewerkte Let’s Encrypt-vertrouwensketens. Tegelijkertijd verhelpt Sophos 53 gedocumenteerde problemen in onder meer firewall, HA, IPsec, authenticatie, logging, WAF en reporting.

MR2 is daarmee vooral een release voor bedrijfszekerheid en stabiliteit. De nieuwe functies zijn interessant, maar voor veel productieomgevingen zijn de verholpen kernelcrashes, Failsafe-oorzaken, HA-problemen en VPN-fouten de belangrijkste reden om te upgraden.

Post-Quantum Cryptography herkennen en beheren

De opvallendste nieuwe beveiligingsfunctie betreft Post-Quantum Cryptography (PQC): cryptografische methoden die bestand moeten zijn tegen aanvallen met toekomstige, voldoende krachtige quantumcomputers. Het risico ligt niet alleen in het feit dat zo’n computer ooit beschikbaar kan komen. Voor bijzonder gevoelige gegevens speelt nu al Harvest now, decrypt later: versleuteld verkeer wordt opgenomen en bewaard om het later met krachtigere technologie te ontsleutelen.

SFOS 22.0 MR2 herkent zuivere en hybride sleuteluitwisselingen op basis van ML-KEM. Het National Institute of Standards and Technology standaardiseerde deze methode in 2024 als FIPS 203. Ze is gebaseerd op het wiskundige Module-Learning-with-Errors-probleem. NIST definieert met ML-KEM-512, ML-KEM-768 en ML-KEM-1024 drie parametersets met verschillende beveiligings- en prestatiekenmerken.

ML-KEM versleutelt niet rechtstreeks het latere webverkeer. Het is een Key Encapsulation Mechanism waarmee client en server via een openbaar kanaal een gedeeld geheim opbouwen. Daaruit worden de symmetrische sessiesleutels afgeleid waarmee de eigenlijke gegevens efficiënt worden versleuteld en geauthenticeerd.

Bij een zuivere PQC-sleuteluitwisseling hangt de beveiliging uitsluitend van de post-quantummethode af. Actuele TLS-implementaties gebruiken vaker hybride methoden, waarbij ML-KEM met een klassieke methode zoals X25519 wordt gecombineerd. Een correct ontworpen hybride onderhandeling moet de sessie beschermen zolang minstens één component veilig blijft. Dit is echter een eigenschap van de concrete combinatie en geldt niet automatisch voor elke hybride methode. Zo hoeft men tijdens een vroege migratiefase niet volledig te vertrouwen op een relatief nieuwe cryptografische methode.

Sophos publiceert inmiddels de namen van de herkende patterns: TLS 1.3 PQC ML-KEM-512, ML-KEM-768, ML-KEM-1024, X25519 ML-KEM-768 en Hybrid Key Share. Concrete IPS-signature-ID’s zijn publiek nog altijd niet gedocumenteerd.

Detectie en beleidssturing via IPS

Bij TLS 1.3 kondigt de client de ondersteunde sleuteluitwisselingsgroepen al in de ClientHello aan. Deze metadata worden verzonden voordat de versleutelde applicatiesessie is opgebouwd. Het IPS kan een PQC- of hybride methode daardoor in principe tijdens de TLS-onderhandeling herkennen zonder de latere HTTP-inhoud te ontsleutelen.

Sophos levert hiervoor nieuwe IPS-patterns. Voor evaluatie moeten IPS Protection, een geldige Network Protection-licentie en een aan de firewallregel toegewezen IPS-policy aanwezig zijn. Binnen een aparte policy zijn onder meer deze acties mogelijk:

toestaan,
loggen,
afzonderlijke pakketten of de hele sessie droppen,
de TCP-sessie met een reset beëindigen, of
de signature uitschakelen.

De nieuwe PQC-signatures zijn standaard uitgeschakeld. Dat is logisch, omdat browsers, cloudplatforms, CDN’s en TLS-bibliotheken steeds vaker regulier hybride PQC gebruiken. Een direct blokkerende standaardactie zou legitieme web- en API-verbindingen kunnen onderbreken. Ook in de eerste feedbackthread verwijst Sophos naar de toenemende verspreiding van PQC-TLS en het risico op veel onnodige meldingen.

Ik zou de nieuwe signatures niet meteen blokkerend activeren. Gebruik eerst een aparte IPS-policy voor een beperkte testgroep en log alleen de treffers. In Log Viewer is daarna te zien welke browsers, applicaties en doelen ML-KEM gebruiken. Pas als het gewenste cryptografische beleid en de gevolgen voor legitieme diensten duidelijk zijn, zou ik Drop session of Reset inzetten. PQC is niet automatisch verdacht; meestal betekent een treffer alleen dat een applicatie al moderne TLS-methoden gebruikt.

Beheer van de TLS-onderhandeling via Web Protection

Naast IPS grijpt Web Protection rechtstreeks in op de toegestane TLS-onderhandeling. Volgens Sophos kunnen websessies geen PQC-algoritmen onderhandelen die de firewall niet ondersteunt. Dat is iets anders dan IPS-detectie: IPS classificeert de zichtbare onderhandeling en voert een policyactie uit, terwijl Web Protection ervoor zorgt dat een beschermde websessie alleen tot stand komt via een cryptografische methode die het SFOS-verwerkingspad ondersteunt.

Dit is vooral relevant bij TLS Inspection. De firewall bevindt zich dan niet alleen passief in het datapad, maar moet de TLS-sessie beëindigen, certificaten controleren of opnieuw uitgeven en aan beide zijden compatibele cryptografische parameters onderhandelen. Een algoritme dat browser en doelserver ondersteunen, is dus niet automatisch geschikt voor elke tussenliggende Inspection Engine.

PQC-sleuteluitwisseling verandert bovendien de TLS-onderhandeling. Hybride Key Shares zijn groter dan klassieke X25519-waarden, waardoor een ClientHello over meerdere pakketten kan worden verdeeld. Zulke verbindingen zijn volgens TLS geldig, maar kunnen oudere Middleboxes, proxies en Inspection Engines zwaarder belasten. MR2 biedt dus niet alleen een extra signature, maar ook compatibiliteit met een veranderende TLS-stack.

Sophos documenteert niet gedetailleerd of Web Protection bij een niet-ondersteunde PQC-methode de sessie beëindigt, terugvalt op een klassieke methode of per datapad anders reageert. Uit de aankondiging mag daarom geen specifiek fallbackgedrag worden afgeleid. Duidelijk is alleen dat niet-ondersteunde PQC-onderhandelingen de beschermingslaag niet ongecontroleerd mogen passeren.

Omgevingen met TLS Inspection moeten na de upgrade vooral het volgende testen:

Actuele versies van Chrome, Edge, Firefox en Safari met veelgebruikte SaaS- en clouddiensten.
Dezelfde doelen via een regel met en zonder TLS Inspection.
TLS Inspection-uitzonderingen, certificaatfouten en blokkadepagina’s.
IPS- en Web Protection-logs op PQC-meldingen, handshakefouten en resets.
Kritieke applicaties met eigen TLS-bibliotheken, API-clients of Java-runtimes.
Bij problemen via Packet Capture bepalen of de TLS-handshake of pas de beschermde applicatiesessie faalt.
Pas daarna beslissen of een expliciete Allow-, Drop- of Reset-actie nodig is.

Generatieve AI met Synchronized Application Control

MR2 verbetert de categorisering van generatieve AI-applicaties via Synchronized Application Control. Sophos Endpoint herkent applicaties lokaal en deelt die informatie via Security Heartbeat met de firewall. SFOS kan de applicatie vervolgens nauwkeuriger koppelen aan reporting en Application Control-regels.

Dat helpt bij applicaties die algemene webprotocollen, gedeelde CDN’s of wisselende doelen gebruiken en alleen met klassieke firewallsignatures moeilijk eenduidig herkenbaar zijn. Een nauwkeuriger categorie maakt het eenvoudiger om normale webapplicaties van GenAI-tools te onderscheiden en te analyseren welke gebruikers of apparaten deze gebruiken.

De functie is echter geen universele CASB of DLP-oplossing. Vertrouwelijke promptinhoud wordt niet automatisch geanalyseerd en zonder compatibele Sophos Endpoint is dezelfde applicatiezichtbaarheid niet beschikbaar. In Microsoft Defender- en gemengde endpointomgevingen blijven DNS-, web-, TLS-, proxy- en SSE/CASB-controles relevant.

Voor een bruikbaar beleid is meer nodig dan de nieuwe categorie:

Sophos Endpoint en Security Heartbeat moeten correct verbonden zijn.
Onbekende applicaties moeten regelmatig in Synchronized Application Control worden geclassificeerd.
Firewallregels vereisen een passende Application Control-policy en logging.
Toegestane GenAI-diensten, bedrijfsaccounts en privacyregels moeten zijn vastgelegd.
Gevoelige data vereisen aanvullende DLP-, browser-, endpoint- of SaaS-controles.

Alle GenAI-applicaties blokkeren is zelden de beste eerste stap. Een gelaagd beleid is praktischer: goedgekeurde bedrijfsdiensten toestaan, onbekende of niet-beoordeelde diensten loggen of blokkeren en het gebruik op reële bedrijfsbehoeften beoordelen.

De praktische procedure voor de pilotgroep, het Application Filter, de blokkering en de controle staat in Generatieve AI herkennen en beheren met Sophos Firewall.

Authenticatie: Chromebook, STAS en eDirectory

MR2 wijzigt drie technisch verschillende onderdelen van gebruikersidentificatie. In de praktijk raken ze hetzelfde kritieke punt: herkent de firewall de gebruiker betrouwbaar en wijst hij de juiste policy toe?

Chromebook User ID met Manifest V3

De nieuwe Sophos Chromebook User ID Extension ondersteunt Chrome Manifest V3. Dit is het huidige extensieplatform van Chrome en verandert onder meer rechten, achtergrondprocessen en de verwerking van netwerkgebeurtenissen. Zonder de nieuwe versie zou de oude Sophos-extensie op termijn geen reguliere updates meer ontvangen.

Volgens Sophos is geen In-place-update mogelijk. De oude extensie moet worden verwijderd en de nieuwe geïnstalleerd. In beheerde Chromebook-omgevingen gebeurt dit via Google Admin Console of de gebruikte Endpoint Management-oplossing:

Oude Sophos Chromebook User ID Extension uit de gedwongen installatie verwijderen.
Nieuwe Manifest V3-versie toevoegen en aan doelgroepen toewijzen.
Met een testgebruiker aanmelden.
Op de firewall de koppeling van gebruikersnaam en IP-adres controleren.
Een gebruikersgebaseerde firewall- of webpolicy activeren en het resultaat in Log Viewer controleren.

De volgorde is belangrijk. Wordt de oude extensie verwijderd voordat de nieuwe is uitgerold, dan ontbreekt tijdelijk de gebruikerstoewijzing. Regels kunnen op een algemene fallbackpolicy terugvallen of toegang blokkeren.

De volledige configuratie van Device Access, certificaat, firewallregels, JSON-policy en API Controls staat in Chromebook SSO met Google Workspace instellen.

STAS blokkeert tijdens identiteitscontrole niet meer standaard

Bij Sophos Transparent Authentication Suite (STAS) vraagt de firewall bij een nieuwe of gewijzigde client welke Active Directory-gebruiker achter een IP-adres zit. Restrict client traffic during identity probe bepaalt of de client tijdens die controle verkeer mag verzenden.

MR2 wijzigt de standaardwaarde naar No. Verkeer kan doorgaan terwijl de firewall gebruiker en doeladres vergelijkt. Dat beperkt korte onderbrekingen bij nieuwe sessies, gebruikerswissels, roaming of trage antwoorden van STAS Collector.

Daar staat tegenover dat de firewall tijdens de controle met de op dat moment beschikbare identiteitscontext werkt. In omgevingen met strikte gebruikersregels moet worden nagegaan welke policy in dit korte venster geldt. Ga na de update niet blind ervan uit dat bestaande configuraties automatisch dezelfde waarde krijgen; controleer de actuele waarde, het gewenste gedrag en de logs.

Novell eDirectory eindigt met SFOS 23.0

MR2 toont een End-of-Life-melding voor Novell eDirectory Authentication Server. De ondersteuning stopt met SFOS 23.0. In MR2 blijft eDirectory werken; het is een waarschuwing vooraf, geen directe verwijdering.

Wij zullen deze integratie niet missen. Geen van onze klanten gebruikt Novell eDirectory nog en ook in nieuwe projecten speelt het al lang geen rol meer. De weinige resterende omgevingen kunnen tot SFOS 23.0 migreren naar een ondersteunde Identity Source. Controleer daarbij ook geïmporteerde groepen, firewallregels, VPN-rechten, webpolicies, Captive Portal en gebruikersrapporten.

Hoe de doelbron, groepen, services en terugval gecontroleerd worden omgeschakeld, staat in eDirectory vóór SFOS 23 migreren.

Let’s Encrypt en certificaatbeheer

SFOS 22.0 MR2 ondersteunt nieuwe Let’s Encrypt Root- en Intermediate-certificaten: YE Root, YE1, YE2, YR Root, YR1 en YR2. Daarmee is automatische certificaatuitgifte en -verlenging voorbereid op actuele en toekomstige Let’s Encrypt-ketens.

Een correcte ACME-aanvraag alleen is niet genoeg. Firewall, tegenpartij en clients moeten ook de uitgegeven certificaatketen correct kunnen opbouwen en valideren. Verouderde Trust Stores kunnen anders certificaatfouten veroorzaken terwijl het Leaf-certificaat geldig is.

Let’s Encrypt-e-mailmeldingen bevatten nu bovendien hostname en serienummer van de firewall. In omgevingen met meerdere appliances is sneller duidelijk welk apparaat een verlenging of fout meldt. Het serienummer is wel inventarisinformatie; stuur meldingen daarom alleen naar gecontroleerde ontvangers en mailboxen.

Test na de upgrade het volledige certificaatproces:

ACME-status en volgende verlengdatum.
Hostname, DNS-resolutie en bereikbaarheid van de Challenge.
Certificaatketen in de browser of via een externe TLS-test.
WAF-, WebAdmin-, User Portal- en VPN-certificaten afzonderlijk.
Ontvangst van de nieuwe e-mailmelding en de ontvangerslijst.

Config Studio 2.6 breidt analyse en migratie uit

Sophos wijst naast MR2 op Firewall Config Studio 2.6. De browsertool draait buiten de firewall en is geen in Build 546 geïntegreerde WebAdmin-functie. Ze vult SFOS wel aan op punten waar analyse- en vergelijkingsmogelijkheden beperkt zijn.

De belangrijkste functies zijn:

Merge templates: combineert een basisconfiguratie met een branche- of gebruiksspecifiek sjabloon. Dit versnelt gestandaardiseerde roll-outs, maar conflicterende objecten, interfaces en regels moeten worden gecontroleerd.
Enhanced Global Search: zoekt objecten globaal en opent meteen hun gebruikslocatie, nuttig in grote regelsets en bij onduidelijke afhankelijkheden.
Improved Configuration Report: firewall-, NAT- en TLS-regels tonen naast objectnamen ook waarden en details.
Migration Insights: toont na conversie welk percentage succesvol is gemigreerd. Dit is geen acceptatietest; niet-overgedragen VPN’s, authenticatie, certificaten en leveranciersspecifieke functies vereisen handmatige controle.
Multi-file Configuration Diff: vergelijkt meerdere configuratiestanden om wijzigingen, fouten en afwijkingen tussen backups te vinden.
Backup-Restore-compatibiliteit: controleert of een backup op een ander Sophos Firewall-model kan worden hersteld.
Flexi Port- en poortsnelheidsreferentie: vergelijkt poortlayouts, Flexi-modules en ondersteunde snelheden tot 25, 40 of 100 Gbit/s vóór hardwaremigraties.

Meer details staan in Sophos Firewall Config Studio 2.6: migratie ingebouwd. De praktische workflow voor Report, Compare, Editor en gecontroleerde herimport staat in Sophos Firewall Config Studio gebruiken.

De 53 opgeloste problemen in Build 546

Sophos noemt meer dan 50 stabiliteits-, betrouwbaarheids- en beveiligingsfixes. Hieronder staan alle 53 ID’s uit de officiële Release Notes, met hun operationele relevantie.

Firewall, kernel, HA en systeemstabiliteit

NC-180331 – Foutief geheugenbeheer in algif_aead en algif_skcipher: sluit een Linux-kernelkwetsbaarheid in cryptografische componenten.
NC-181331 – Volle configuratiepartitie zette firewall in Failsafe: beperkt uitval door gebrek aan configuratieopslag.
NC-180974 – Kernelcrash in sdwan_profile veroorzaakte HA-failover: stabiliseert SD-WAN en voorkomt onnodige rolwissels.
NC-178354 – Kernelcrash tijdens SD-WAN Rule Matching: voorkomt crashes bij evaluatie van SD-WAN-regels.
NC-178413 – Lege waarde in Services veroorzaakte ipset-fout en Failsafe: verwerkt beschadigde serviceobjecten robuuster.
NC-177934 – Firewall ging na upgrade naar SFOS 22.0 GA in Failsafe: verhelpt een directe upgradefout.
NC-177441 – Initieel primair HA-apparaat ging na GA-upgrade in Failsafe: verbetert de opstartstabiliteit.
NC-177467 – Auxiliary-apparaat startte niet door veel gelijktijdige niet-geauthenticeerde SSH-verbindingen: belangrijk voor blootgestelde HA-systemen; deze fix wordt in eerste feedback voor XGS 5500 HA kritisch gevolgd.
NC-173031 – Geïmporteerde Application Policies synchroniseerden niet automatisch naar Auxiliary: zorgt voor consistente policies op beide nodes.
NC-177536 – Firmware-upgrade naar SFOS 22.0 GA mislukte op primaire HA-node: stabiliseert HA-upgrades.
NC-178745 – HA-apparaat herstartte door Out-of-Memory: beperkt ongeplande logginggerelateerde herstarts.
NC-180110 – Primaire HA-node ging in Failsafe omdat Logging Daemon niet startte: voorkomt volledige uitval door een loggingfout.
NC-180933 – Admins konden niet aanmelden op WebAdmin Console: herstelt GUI-beheer.
NC-177769 – eBPF-service reageerde niet meer na Pattern Update: stabiliseert het versnelde datapad.
NC-180152 – Interface-updates duurden langer dan in 21.5: verkort verwerking van interfacewijzigingen.
NC-179462 – Herhaalde waarschuwingen bij hardwarestatistieken: vermindert logruis op XGS-appliances.

Firewallregels, gebruikersverkeer en routing

NC-181741 – Niet-geauthenticeerd verkeer werd elk uur gedropt: voorkomt regelmatige onderbrekingen.
NC-178903 – SATC-gebruikers verloren internet na GA-upgrade: herstelt gebruikersgebaseerde toegang.
NC-178141 – Local ACL dropte bepaalde ICMP-foutmeldingen: verbetert Path MTU Discovery en diagnose.
NC-178197 – Applicatieverkeer stopte tijdelijk met applicatiegebaseerde Bandwidth Policy: stabiliseert QoS.
NC-180226 – GUI gaf geen fout bij dubbele MAC in Spoof protection trusted MAC: voorkomt stille misconfiguratie.
NC-181299 – GeoIP koppelde IP aan VK in plaats van Duitsland: corrigeert landtoewijzing.

IPsec en VPN

NC-180433 – Multicast via VPN-tunnel veroorzaakte herhaalde firewallcrashes: belangrijk voor multicast over IPsec.
NC-178121 – Site-to-Site IPsec kwam na Drag and Drop verkeerd in failovergroep: bewaart tunnelprioriteit.
NC-171719 – SD-WAN-routingprobleem met ESP-verkeer: verbetert padselectie.
NC-180520 – XFRM-gateway onbereikbaar met IPsec-versnelling, Alias IP en ESP via andere WAN-poort: verhelpt een complex Multi-WAN-geval.
NC-176855 – Lage IPv6-doorvoer via Route-based IPsec: verbetert IPv6-prestaties.
NC-181687 – Aanmaken SSL VPN-policy gaf Internal Server Error: herstelt policycreatie.
NC-175860 – Remote Access IPsec viel uit na HA-failover bij vernieuwd Appliance Certificate: stabiliseert certificaatverbindingen.

Authenticatie, Central en configuratiebeheer

NC-180824 – Nieuwe AD-gebruikers in secundaire groep konden niet op VPN Portal aanmelden: corrigeert geneste groepslidmaatschappen.
NC-176806 – Microsoft Entra ID SSO faalde door ontbrekende Intermediate CAs: verbetert certificaatvalidatie.
NC-160157 – Last access time bleef na verwijderen gebruiker staan: voorkomt misleidende historie.
NC-181175 – Group Policy Push uit Sophos Central bleef pending: verhelpt vastlopende groepswijzigingen.
NC-180513 – Configuratie-import vanuit Central werkte niet na MR1-upgrade: herstelt import.
NC-181904 – Quarantainemails konden niet via Central worden vrijgegeven: herstelt deze workflow.

Controleer na de update nog steeds de Central Firewall Task Queue; oude vastgelopen tasks verdwijnen niet noodzakelijk automatisch.

Logging en reporting

NC-181520 – Log Viewer was te traag: verbetert zoeken en diagnose.
NC-172912 – System Graph flikkerde: stabiliseert metriekweergave.
NC-172020 – Firewalls zonder On-box Reporting stuurden lege Traffic Dashboard-pdf’s: voorkomt lege rapporten.
NC-169646 – On-demand-pdf’s toonden verkeerde grafieken en tabellen in Chrome: corrigeert browserrapportage.
NC-155252 – Hoge Disk I/O veroorzaakte CPU-pieken en internetuitval tot één minuut: belangrijke stabiliteitsfix voor loggingintensieve systemen.

NC-178745 en NC-180110 raken eveneens het Logging Framework, maar hadden via herstart of Failsafe gevolgen voor de hele appliance.

E-mail, antivirus en Security Heartbeat

NC-180066 – SAVI- en AVIRA-patternupdates stopten de antivirusservice: voorkomt dat een patternfout heel AV uitschakelt.
NC-177930 – E-mails bleven door mailpoller-crash in spool: voorkomt geblokkeerde MTA-aflevering.
NC-171602 – Firewallmeldingen slaagden niet voor DKIM: verbetert afleverbaarheid.
NC-176012 – Ontbrekende Heartbeat gemeld bij gedeelde dockingstation of USB-interface: vermindert valse meldingen.

Test bij MTA Mode Mail Spool, quarantaine, DKIM en Central-vrijgave volgens Sophos Firewall Mail Protection in MTA Mode.

WAF, Web Protection en RED

NC-180200 – WAF stopte in Home Edition tijdens nachtelijke licentiesync: voorkomt regelmatige uitval.
NC-177457 – Wachtwoord was bij WAF Debugging zichtbaar in reverseproxy.log: sluit plaintextlek; controleer en bescherm of verwijder oude logs.
NC-176788 – ResponseFieldSize viel bij certificaatwissel terug naar standaard: bewaart ingestelde limiet.
NC-167019 – Snort veroorzaakte hoge CPU bij Veeam-verkeer zonder uitzondering: vermindert back-upbelasting; beoordeel bestaande uitzonderingen opnieuw.
NC-178906 – Firewall ging met Failed to start Red server service in Failsafe: stabiliseert RED Server.

Firmware, DDNS en gebruikersinterface

NC-170200 – Meerdere upgradepogingen binnen minuten lieten Firmware Upgrade mislukken: maakt Firmware Management robuuster.
NC-180219 – Cloudflare DDNS werkte niet na MR1-upgrade: herstelt dynamische DNS-updates.
NC-181575 – Tijdveld in Schedules werd verkeerd getoond: voorkomt verkeerde interpretatie.
NC-171424 – Na wissen enige Exception op laatste pagina leek Web Exceptions leeg: navigeert correct terug.

Upgrade plannen en MR2 valideren

Sophos ondersteunt upgrades vanaf alle ondersteunde versies van v21.5, v21 en v20. Het firmware-image is handmatig via Sophos Central beschikbaar; automatische uitrol volgt gefaseerd. Voor firewalls met Enhanced of Enhanced Plus Support zijn er geen extra firmwarekosten.

Rol MR2 ondanks de lange fixlijst niet ongetest overal tegelijk uit. De publieke feedbackthread begon pas op de releasedag. Eerste bijdragen vragen vooral naar XGS 5500 in Active-Passive HA en NC-177467. Dat bewijst geen nieuwe fout, maar pleit voor gefaseerde updates van HA en kritieke locaties.

Voor de update

Upgradepad en licentie controleren.
Volledige versleutelde externe backup maken.
SFOS 22 Upgrade Check uitvoeren.
Open bevindingen in Sophos Firewall Health Check beoordelen.
HA-status, SSD, vrije partities en patterns controleren.
WAN, SD-WAN, IPsec, SSL VPN, WAF, MTA, DDNS, authenticatie en Central Management documenteren.
Onderhoudsvenster, consoletoegang en rollbackbesluit voorbereiden.

Na de update

Build 22.0 MR2 546, systeemstatus en Hotfixes controleren.
Bij HA beide nodes, synchronisatie, rollen en failover testen.
WAN, DNS, DHCP/DDNS, SD-WAN en internet testen.
Site-to-Site en Remote Access VPN inclusief IPv6 en failover testen.
AD, Entra ID, STAS, SATC en portalen met testgebruikers valideren.
WAF, Let’s Encrypt, MTA, quarantaine en meldingen controleren.
Central Task Queue en recente groepswijzigingen controleren.
Log Viewer doorzoeken op fouten, Failsafe, serviceherstarts en PQC.
Pas na stabiele observatie meer appliances upgraden.

Het volledige proces staat in Sophos Firewall Firmware Update voorbereiden.

Conclusie

Sophos Firewall v22 MR2 is een zinvolle Maintenance Release met een brede mix. Post-Quantum Cryptography en betere GenAI-categorisering tonen de richting van netwerk- en applicatiecontrole. Chromebook Manifest V3, STAS en Let’s Encrypt lossen concrete lifecycle- en bedrijfsproblemen op.

De belangrijkste reden voor Build 546 blijft stabiliteit: kernelcrashes, Failsafe, HA- en VPN-problemen, een plaintextwachtwoord in het WAF Debug Log en storingen in logging, reporting, antivirus en mail zijn verholpen. Behandel de update daarom niet als een routineklik. Backup, gefaseerde uitrol en gerichte functiecontrole blijven verplicht.